Fortinet FortiGate: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий FortiGate в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что сетевая связность между устройствами FortiGate и R-Vision SIEM (или промежуточным узлом) обеспечена, а необходимые порты открыты.

Настройка FortiGate

Описание подсистемы журналирования

Журналирование событий источника условно делится на две категории:

Журнал событий — хранит события системы, пользователей, конечных точек, события высокой доступности и другие.
Журнал трафика — хранит разрешенный, запрещенный и исходящий трафик.

Отправка сообщений журналов по протоколу Syslog осуществляется в формате .log.

Настройка может производиться через GUI или через CLI.

Настройка отправки событий через GUI

Для настройки отправки логов через GUI выполните следующие действия:

Авторизуйтесь в веб-панели управления FortiGate.
Перейдите в раздел Log Settings.
Укажите адрес сервера Syslog.
Установите переключатель Event Logging в положение All.
Установите переключатель Local Traffic Log в положение All.
Нажмите на кнопку Apply для применения настроек.

Настройка отправки событий через CLI

Для настройки отправки логов через CLI выполните следующие шаги:

Подключитесь к устройству FortiGate через CLI.
Перейдите в режим конфигурации syslog с помощью команды:
```
config log syslogd setting
```
Проверьте текущие настройки с помощью команды:
```
get
```
Убедитесь, что параметры настроены правильно. Например, status: enable, server: <syslog_server_ip>, port: 514.

Здесь <syslog_server_ip> — IP-адрес или полное доменное имя (FQDN) коллектора R-Vision SIEM.
Измените режим отправки логов на надежный (reliable) с помощью команды:
```
set mode reliable
```
После изменения режима значение порта автоматически сбрасывается на значение по умолчанию (514).
Установите значение порта отправки логов, например, 31121:
```
set port 31121
```
Убедитесь, что изменения применены, с помощью команды:
```
get
```
Проверьте, что параметры обновлены:
```
mode                : reliable
port                : 31121
```
Завершите настройку с помощью команды:
```
end
```

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне FortiGate.
- Протокол: выберите вариант в соответствии с настройками на стороне FortiGate.
Добавьте на конвейер элемент VRL-трансформация со следующим кодом:
```
.device_product = "fortigate"
```
Соедините точку входа с VRL-трансформацией.
Добавьте на конвейер элемент Нормализатор с правилом Fortinet FortiGate (идентификатор правила: RV-N-322).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.